SSH与exec/attach连接Docker容器时PATH不一致的原因及解决办法

问题原因 #

• SSH服务端（sshd）默认启用安全限制，会主动重置连接后的环境变量，不会继承Docker容器全局的ENV变量，也不会继承启动sshd的父进程的环境变量，仅使用sshd内置的默认安全PATH。
• SSH登录属于登录式Shell，默认仅加载/etc/profile、~/.bash_profile、~/.bashrc等Shell配置文件内的环境变量。Dockerfile中通过ENV指令设置的变量写入的是容器元数据，仅对容器主进程及docker exec启动的子进程生效，不会自动写入Shell全局配置文件。
• 你使用service ssh start启动sshd时，系统服务管理脚本也会对环境变量做二次清洗，过滤非系统默认的环境变量。
• 补充：docker exec/docker attach启动的进程直接继承容器1号进程的环境，也就是Dockerfile里定义的ENV变量，所以PATH符合预期，和SSH连接的进程环境来源完全不同。

解决方法 #

可任选以下一种方案实现SSH连接时获取正确的PATH：

方案1：将所需环境变量写入全局Shell配置（最通用，兼容性最好） #

在Dockerfile中添加指令，把需要的PATH直接写入全局Shell配置，所有登录的Shell都会自动加载：

# 追加到全局bash配置，对所有交互式bash会话生效
RUN echo 'export PATH=/opt/conda/bin:/usr/local/nvidia/bin:/usr/local/cuda/bin:$PATH' >> /etc/bash.bashrc
# 若需要对非交互式Shell也生效，可追加到全局环境配置
RUN echo 'PATH="/opt/conda/bin:/usr/local/nvidia/bin:/usr/local/cuda/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"' >> /etc/environment

重新构建镜像后启动容器即可生效。

方案2：修改sshd配置允许继承环境变量 #

修改sshd的配置规则，放开环境变量限制：

1. 在Dockerfile中添加如下指令：

# 允许sshd加载用户自定义环境变量
RUN echo 'PermitUserEnvironment yes' >> /etc/ssh/sshd_config
# 将需要的PATH写入root用户的ssh专属环境配置
RUN mkdir -p /root/.ssh && echo 'PATH=/opt/conda/bin:/usr/local/nvidia/bin:/usr/local/cuda/bin:$PATH' >> /root/.ssh/environment

2. 重启sshd服务后生效。

方案3：直接前台运行sshd继承环境 #

不要通过service ssh start启动sshd，改为直接运行sshd前台进程，会自动继承当前Shell的所有环境变量：

/usr/sbin/sshd -D

对应的Dockerfile启动指令可修改为：

CMD ["/usr/sbin/sshd", "-D"]

该方式下sshd会继承容器主进程的所有ENV变量，SSH连接后即可拿到正确的PATH。

内容的提问来源于stack exchange，提问作者DeltaIV